東京都中小企業振興公社、TOKYO UPGRADE SQUAREサイト改ざんの調査完了個人情報流出は確認されず|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月25日更新日時: 2026年08月25日

東京都中小企業振興公社は2026年8月19日、業務委託で運営する「TOKYO UPGRADE SQUARE」公式サイトへの不正アクセスについて、外部専門機関による調査結果を公表しました。調査の結果、Webサイトの一部に存在したセキュリティ上の脆弱性が悪用され、サイト改ざんなどが行われていたことが判明しました。

一方、会員情報については、個人情報が閲覧された事実や外部へ持ち出された事実は確認されていないとしています。公社は1月の不正アクセス確認後にサイトを閉鎖し、その後、新たに構築したWebサイトでサービスを再開しています。

TOKYO UPGRADE SQUARE不正アクセスのサマリー

確認済み：2026年1月16日、第三者からの通報を受け、TOKYO UPGRADE SQUARE公式サイトのサーバーへの不正アクセスを確認しました。
確認済み：公式サイトから公社とは無関係なサイトへ強制転送される改ざんが発生していました。
確認済み：原因はWebサイトの一部に存在したセキュリティ上の脆弱性で、攻撃者がこれを悪用したと公社は説明しています。
確認済み：外部専門機関による調査の結果、個人情報が閲覧された事実や外部へ持ち出された事実は確認されませんでした。
確認済み：サーバー上では、会員の氏名、メールアドレス、電話番号、会社名、部署・部門、役職、イベント申込情報などを取り扱っていました。
確認済み：本件に起因する個人情報の不正利用などの二次被害は、8月19日の公表時点で確認されていません。
確認済み：3月16日の第2報では、会員の氏名やメールアドレスなどが閲覧された可能性を否定できないとしていました。
確認済み：公社は3月の第2報で、警察、関係機関、個人情報保護委員会へ報告したと公表しています。
確認済み：再発防止策として、OS・ソフトウェアの脆弱性管理とアップデート、定期的な脆弱性診断、職員・委託先向けのセキュリティ研修を実施します。
未確認：悪用された脆弱性の具体的な種類、CVE、侵入に用いられた手法、攻撃者の属性などは公表されていません。

項目	内容
公表日	2026年8月19日（最終報）
発生日・確認日	2026年1月16日
対象組織	公益財団法人東京都中小企業振興公社
対象サイト	TOKYO UPGRADE SQUARE公式サイト
インシデント	Webサーバーへの不正アクセス、Webサイト改ざん、無関係なサイトへの強制転送
侵入経路	Webサイトの一部に存在したセキュリティ上の脆弱性を悪用。具体的な脆弱性やCVEは非公表
漏洩・流出した情報	個人情報の閲覧や外部への持ち出しは確認されていません
対象となった情報	会員の氏名、メールアドレス、電話番号、会社名、部署・部門、役職、イベント申込情報など
対象件数	確認できませんでした
対応状況	サイト閉鎖・外部アクセス遮断、外部専門機関による調査、新サイト構築、脆弱性管理・診断の強化
個人情報保護委員会への報告	3月16日の第2報で報告済みと公表

1月16日にサイト改ざんを確認、無関係なサイトへ強制転送

東京都中小企業振興公社によると、2026年1月16日、外部の第三者からの通報を受けてTOKYO UPGRADE SQUARE公式サイトを確認したところ、サーバーへの不正アクセスが行われ、公社とは無関係なサイトへ利用者を強制転送する事象が確認されました。

公社は直ちに公式サイトを閉鎖し、外部からのアクセスを遮断しました。1月に公表した第一報では、受託事業者や関係機関、専門家と連携し、情報漏えいの有無や侵害状況を調査するとしていました。

セキュリティ対策Labでは第一報について、「東京都中小企業振興公社、『TOKYO UPGRADE SQUARE』公式サイトで改ざん被害　運営を停止し調査へ」で取り上げています。

3月時点では会員情報を閲覧された可能性を否定できず

公社が2026年3月16日に公表した第2報では、調査中の段階で、会員の氏名やメールアドレスなどについて「不正アクセスの実行者に閲覧された可能性を否定できない」としていました。

ただし、この時点でも外部への情報流出が確認されたとはしていません。公社は警察、関係機関、個人情報保護委員会へ報告し、専門の調査機関と漏えいの有無や範囲、原因の特定を進めていました。

今回の最終報は、この段階で残っていた「閲覧された可能性」を外部専門機関の調査結果によって更新したものです。

原因はWebサイトの脆弱性、具体的なCVEなどは非公表

最終報では、Webサイトの一部にセキュリティ上の脆弱性が存在し、その脆弱性を悪用してWebサイトの改ざんなどが行われたことが原因とされています。

一方、どの製品やCMS、プラグインなどに脆弱性が存在したのか、CVEが付与された既知の脆弱性だったのか、脆弱性が未修正だった期間、攻撃者がどのような経路でサーバーへ侵入したのかなど、技術的な詳細は公表されていません。

また、攻撃者の属性や目的についても明らかにされていないため、特定の脅威アクターやサイバー犯罪グループとの関連を示す情報は確認できません。

個人情報の閲覧・外部持ち出しは確認されず

外部専門機関による調査の結果、公社は、個人情報が閲覧された事実や外部へ持ち出された事実は確認されなかったとしています。

対象となる個人情報として挙げられているのは、会員の氏名、メールアドレス、電話番号、会社名、部署・部門、役職、イベント申込情報などです。対象となる会員数やレコード件数は公表されていません。

このため、本件は「個人情報漏えいが確認された事案」ではありません。一方で、公社はWebサーバー自体が侵害されたことを踏まえ、不審なメールなどに注意するよう利用者へ呼びかけています。

8月19日の最終報時点では、本件に起因する個人情報の不正利用などの二次被害も確認されていません。

新しいWebサイトを構築、会員情報は引き継ぎ

公社は不正アクセス後、従来のWebサイトをそのまま復旧するのではなく、新たなWebサイトを構築しました。現在公開されているサイトは不正アクセス後に新規構築したもので、会員情報は引き継がれているため、施設やイベントなどは通常どおり利用できるとしています。

再発防止策としては、OSやソフトウェアなどの脆弱性管理とアップデートを徹底するとともに、定期的な脆弱性診断を実施します。さらに、職員向けのセキュリティ研修や、業務委託先におけるセキュリティ研修にも取り組む方針です。

情報システム部門への示唆

今回の事案は、Webサイトの脆弱性が悪用され、外部サイトへの強制転送を伴う改ざんに至ったケースです。外部公開システムでは、OSだけでなく、CMS、フレームワーク、プラグイン、ライブラリなどを含めた資産管理と脆弱性管理が必要です。

特に業務委託でサイトを運営している場合、パッチ適用や脆弱性診断を「委託先に任せる」だけではなく、契約や運用基準の中で、対象資産、更新期限、緊急脆弱性への対応、診断頻度、インシデント発生時の報告ルートまで明確にしておく必要があります。

また、今回のようにWebサーバーへの侵害は確認された一方、個人情報の閲覧や持ち出しを示す証跡が確認されないケースでは、初動時点で「漏えいなし」と判断しないことも重要です。アクセスログやサーバーログの保存期間が短い場合、侵害の全容を後から追跡できない可能性があります。外部公開サーバーについては、ログを別環境へ転送し、改ざんや消去の影響を受けにくい形で保持する設計が求められます。

利用者への注意喚起も継続が必要です。今回、二次被害は確認されていませんが、組織名やサービス名を悪用したフィッシング、なりすましメール、電話などが後から発生する可能性はあります。公社は、不審なメールや電話を受けた場合に添付ファイルやURLを開かないこと、他サービスで同じパスワードを利用している場合は変更することを呼びかけています。